CVE-2026-109391

WysokieCVSS 8.1

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.48%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

Square Squash do commita e73f280 zawiera podatność na niezabezpieczoną deserializację, która pozwala nieuwierzytelnionym atakującym na przechowywanie spreparowanych danych YAML przez endpoint POST /api/1.0/symbolication. Gdy wystąpienia odwołujące się do kontrolowanego przez atakującego UUID symbolizacji są symbolizowane, przechowywane wartości są przekazywane do YAML.load z SafeYAML w trybie niebezpiecznym, umożliwiając deserializację dowolnych obiektów Ruby i potencjalne wykonanie kodu.

Ocena ryzyka

Ryzyko polega na możliwości zdalnego wykonania kodu przez nieuwierzytelnionego atakującego, co może prowadzić do pełnej kompromitacji serwera i naruszenia danych.

Rekomendacja

Zaleca się aktualizację Square Squash do wersji zawierającej poprawkę oraz unikanie deserializacji niezaufanych danych YAML w trybie niebezpiecznym.

Inne podatności w Square Squash

CVE-2013-5036Wysokie
Podatność w Square Squash umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez manipulację dokumentem YAML w parametrach namespace lub sourcemap w funkcjach deobfuscation i sourcemap.

Oryginalny opis (angielski, źródło NVD)

Square Squash through commit e73f280 contains an insecure deserialization vulnerability that allows unauthenticated attackers to store crafted YAML via the POST /api/1.0/symbolication endpoint. When occurrences referencing the attacker-controlled symbolication UUID are symbolicated, the stored values are passed to YAML.load with SafeYAML in unsafe mode, enabling arbitrary Ruby object deserialization and potential code execution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS